Настройки GroupWise 2014

[Иван Левшин aka Ivan L.]

GroupWise использует MS CryptoAPI при работе с сертификатами. Поддерживает ли КриптоПро MS CryptoAPI?

[Иван Левшин aka Ivan L.]

Только что говорил с поддержкой КриптоПро. Они рекомендовали обратиться к ним напрямую. Касаемо GroupWise - насколько я помню, сертификаты КриптоПро устанавливаются на рабочей станции с использованием штатных средств Windows (все рекомендации КриптоПро начинаются с "Откройте Internet Explorer..."), что, вообще говоря, говорит о том, что MS CryptoAPI поддерживается со стороны КриптоПро и техподдержка КриптоПро это подтвердила.
Далее... Я, если совсем честно, не понял, что именно у Вас не получается. Вы писали:

при отправке ключ опрашиватся, сертификат прикрепляется и связывается с закрытым ключом и даже шифруется. А вот расшифровать это дело больше никто не может

Какая все же операция выполняется? Вы просто подписываете письмо, шифруете его или подписываете и шифруете? В первом случае письмо получателем должно открываться без проблем, вот во втором, если сертификат отправителя не установлен на рабочем месте получателя (иначе говоря - он ему неизвестен), открыть письмо действительно не получится. В третьем случае справедливо все то же самое.
Опишите, пожалуйста, всю последовательность того, что Вы делаете (как я уже писал - подробно и по шагам, совсем будет хорошо, если будут скриншоты). Это сильно облегчит анализ. И, в любом случае, не стоит думать о том, что если Вы выбрали криптопровайдер в настройках системы, все "и так должно работать". Личные сертификаты пользователей, обменивающихся зашифрованными сообщениями, должны быть установлены на всех рабочих местах. Иначе говоря, каждое рабочее место должно содержать сведения о всех персональных сертификатах отправителей. Иначе, действительно, ничего не получится.

[BDmV]

Извиняюсь за долгое молчание....

Я делаю всё и просто подписываю и просто шифрую и подписываю с шифрацией.
Если просто подписываю то всё нормально
А вот если шифрую....

Как я понял проблема заключается в том, что GW не может определить Алгоритм шифрования и шифрует не тем алгоритмом, который содержится в подписи (При проссмотре открытого ключа пишет "Алгоритм: Нераспознанный OID 1.2.643.2.2.19").
Также появляется ошибка сертификата "Путь сертификата не соответствует пути к доверенной сертифицирующей организации"
При этом установить путь сертификата не возможно из-за падения клиента GW при заходе во вкладку "Общие" (проверено на 2х компах)

ЗЫ. Вам на почту я отправил вордовский файл со скриншотами по шагам.

Вкратце:
В настройках указан мой сертификат по умолчанию (к носителю он привязан)
1. Создаю письмо
2. Указываю "Электронная подпись", "Шифровать"
3. Отправляю (сертификат получателя задан через адресную книгу)
4. Выскакивает стандартное КриптоПро окно, находится носитель ЭЦП, письмо подписывается, шифруется и уходит получателю.
5. Получатель получает письмо и ничего с ним сделать не может.
6. Смотрю в отправленных
7. Письмо с ошибкой "Для данного элемента обнаружены ошибки безопасности. (Проссмотреть ошибки возможно только если письмо не шифровалось, если письмо шифровано, то появляется ошибка "невозможно расшифровать")
8. При нажатии на эту ошибку попадаем в окно "Предупреждение системы защиты"
8.1. На закладке резюме ошибки 1) "Невозможно проверить электронную подпись; возможно, данное сообщение было искажено.", 2) "Путь сертификата не соответствует пути к доверенной сертифицирующей организации"
8.2. На закладке "сертификат для подписи и шифрования" кнопка "Путь сертификата" есть ошибка "Невозможно найти издателя данного сертификата"
8.2.1 при нажатии на кнопку просмотр попадаем в окно "Общая информация о полях сертификата", где при попытке прочитать поле "Субъект" клиент падает

[Иван Левшин aka Ivan L.]

Здравствуйте, Дмитрий

Вот, теперь уже что-то информативное. То, что клиент заваливается - похоже на баг. Попозже пришлю инструкции по сбору дополнительной информации.

[Иван Левшин aka Ivan L.]

Проблема подтверждена, планируемый срок исправления - 14.2.1. После этого решение может быть портировано в 14.0.2.х

[sovchik]

в инструкции от 2014sp2 обнаружилась очень грустная надпись:
Внимание SSO регистрация с Active Directory возможна только с Windows PO серверами.
То есть получается, что на в принципе работающей связке linux + samba 4 ad получить SSO нельзя.
Ну хоть значок Notify в красный цвет наконец-то покрасили . Правда "падать" от этого в среде AD он не перестал.

[URRY]

Проблема подтверждена, планируемый срок исправления - 14.2.1. После этого решение может быть портировано в 14.0.2.х

поднимем тему , не решена проблема в 14.2.1

[sovchik]

офф-топ: а только у меня клиент 14.2.1 после успешного обновления с 14.2.0 на windows 7 sp1 отказался запускаться и объявил о нехватке какой-то библиотеки?

[URRY]

Штатный билд R2 SP1 криво разливался через Zen.
Либо были ошибки о том ,что нет некоторых библиотек , либо mapi не работало.

[sovchik]

значит я не один такой, уже хорошо. ждём обновлений.

[URRY]

R2 SP1 H1 нормальный в этом плане, правда в нем не оказалось настройки кодировки MIME для отправляемых писем, отметили как дефект # 997081.

[sovchik]

Пришлось переносить дополнительный домен, содержащий интернет агент, на новый сервер. В ходе переноса всплыло два момента, которые не смог откопать (ну скорее всего просто плохо копал, извиняюсь если так) в документации:
1. как правильно поменять ip сервера, на котором живёт домен, в настройках groupwise? Просто перебить ip в настройках MTA и в связях не помогло - домен перестал быть виден.
2. в ходе ранних экспериментов с groupwise возникло несколько объектов (пользователь, пара MTA, один GWIA и три домена), которые были удалены не корректно и теперь штатная попытка их удалить вываливается с ошибкой,либо получается pending operation и удаление не происходит. Есть ли способы стереть эти объекты из groupwise?

[Иван Левшин aka Ivan L.]

1. Проверьте настройку в конфиге. После изменения адреса - обязательно Link Configuration
2. Проверяйте синхронизацию между серверами (опять же - Link Configuration). Ну и ребилд базы домена. к которому потеряшки приписаны.

[alexp]

Как я понял, у вас в базе домена осталсч старый ip, а по факту на сервере новый?
Все просто, стартуете админ сервис, в mta конфиге указываете ‑‑ip IP_address, запускаете mta, заходите в абмин сервис, меняете ip в базе mta,можно ребилд. Убеждаетесью сто в других mta новый ип, если нет, меняете руками, дожидаетесь синхронизации.

[BDmV]

Помогите, пожалуйста разобраться ещё с одной "проблемой" в GW? (самостоятельно разобраться не получается.)
Проблема следующая: Почта уходит и приходит со сдвигом 1 час. (точнее, физически уходит и приходит сразу, но время указывается на 1 час меньше) в итоге получается входящее письмо создано 10:53, а получено в 9:53.
Время на всех серверах актуальное, в gwia (через админовскую консоль) ставил временную зону и +3 и +4, результат один и тотже.

уходит почта: GW 2014 на OES2015 (sles 11 SP4) -> postfix (Ubuntu) -> интернет
приходит почта: интернет -> GW 2014 на OES2015 (sles 11 SP4) (Ubuntu перекидывает 110 порт сразу на gw)

Конфиг gwia:

GroupWise Internet Agent Configuration Settings
Description:
Foreign ID: fin-vidnoe.ru
Platform: Linux
Time Zone: RST
GMT Offset: 3 hours, 0 minutes
Simple Network Management Protocol (SNMP): Enabled
Root Directory: /groupwise/domain/wpgate/gwia
Work Directory: /groupwise/domain/wpgate/gwia/000.prc/gwwork
Startup File /groupwise/domain/wpgate/gwia/gwia.cfg

Network Address
TCP/IP Address: 192.168.126.18
Bind Exclusively to TCP/IP: Yes

Optional Settings
Directory Synchronization: No
Directory Exchange: No
Accounting: No
Convert status to messages: No
Outbound status level: Undelivered
Enable recovery: No

Log Settings
Log file path: /groupwise/log
Logging level: Verbose
Maximum log file age: 30 days
Maximum log disk space: 100 MB

Time Settings
Send/Receive cycle: 120 seconds
Minimum run: 0 seconds
Idle sleep duration: 10 seconds
Snap shot interval: 600 seconds

SMTP/MIME Settings
SMTP service: Enabled
Use SSL: Enabled
Number of SMTP send threads: 8
Number of SMTP receive threads: 16
Hostname/DNS "A record" name: fin-vidnoe.ru
Relay hosts for outbound messages: [192.168.126.5]
Scan cycle for send directory: 10 seconds
iCal Service: Not active
Use 7-bit encoding for SMTP messages No
Kill threads on exit or restart: Yes
Number of hours to retry messages: 96
Retry intervals: 20,20,20,60
Notify sender when message is delayed: Yes
Publish version information: Yes

ESMTP Settings
Delivery status notification: Enabled
DSN Hold Age: 1 days
Require SSL for authentication: No
Force inbound authentication: No
Force outbound authentication: No
Disable ESMTP extensions: No

Message Formatting
Inbound conversion threads: 4
Outbound conversion threads: 4
Default message encoding: MIME
UUEncode all text attachments: Yes
Quoted Printable text line wrapping: Yes
Outbound message line wrap length: 72
Flat-Forwarding: Yes
Add Signature to relay messages: Yes
Map x-priority fields: No

Address Handling
Ignore GroupWise Internet Addressing: Yes
Expand groups on incoming messages: No
Foreign domain for RFC-822 replies: None specified
Foreign domain for MIME replies: None specified
Do not replace underscores with spaces on inbound mail: Yes
Sender's address format: Auto
Place Domain and PO qualifiers: on left of address
Keep outbound distribution lists: Yes
Use GroupWise user address as MAIL FROM: on rule generated messages: No
Display full name as last, first: No
Include full name in MIME header: No

Timeouts
Commands: 5 minutes
Data: 3 minutes
Connection establishment: 2 minutes
Initial Greeting: 5 minutes
TCP read: 5 minutes
Connection termination: 10 minutes

Undeliverables
Amount of original message to return: 2 KB
Forward undeliverable messages to host: None specified
Move to problem directory: Yes
Send to postmaster: Yes

Security
Reject mail if sender cannot be verified: No
Mailbomb protection: Enabled
Message threshold 30
Time threshold 10 seconds
Intruder detection: Enabled

Dial-up
Dial-up service: Not active

HTTP Settings
HTTP service: Enabled
HTTP port: 9850
HTTP over SSL: Enabled
Refresh rate: 60 seconds

POP Settings
POP service: Enabled
Use SSL: Enabled
POP port: 110
Number of POP threads: 10
Secure POP service: Enabled
Secure POP port: 995
Number of Secure POP threads: 10
Publish GroupWise information: No

IMAP Settings
IMAP service: Enabled
Use SSL: Enabled
IMAP port: 143
Number of IMAP threads: 10
IMAP Read limit: 4000
IMAP Read New: Enabled
Secure IMAP service: Enabled
Secure IMAP port: 993
Number of Secure IMAP threads: 10
Publish GroupWise information: No

Message Transfer Protocol Settings
Outbound Directory: /groupwise/domain/wpgate/gwia/wpcsin
Inbound Directory: /groupwise/domain/wpgate/gwia/wpcsout/gwi3276

gwia.cfg

--home /groupwise/domain/wpgate/gwia
--lang RU